AutoMode

Con il piano AutoMode, InfraFence applica da solo le correzioni sicure, 24 ore su 24, e ti chiede il permesso prima di qualsiasi cosa rischiosa. Sceglie solo da un catalogo fisso di azioni e non esegue mai comandi propri.

Prima di usare AutoMode o approvare correzioni: attiva l'autenticazione a due fattori. Approvare o rifiutare ciò che AutoMode chiede, e applicare tu stesso una correzione rischiosa, richiedono un proprietario o un admin dell'organizzazione con accesso tramite autenticazione a due fattori. Senza, nessuno può approvare: le richieste restano in Approvazioni e scadono dopo 24 ore. Finché un proprietario o un admin non ha la 2FA, il punteggio di sicurezza di ogni server perde anche 5 punti. Attivala in Impostazioni › Sicurezza: ci vuole un minuto.

Il catalogo#

Nel catalogo c'è anche il ripristino di un file in quarantena, ma solo una persona può richiederlo.

Cosa fa da solo#

• attiva i ban per scansione di porte, il blocco delle liste di minacce e i ban progressivi;
• esegue le scansioni ogni giorno;
• applica le correzioni di hardening che non possono chiudere fuori nessuno, tra cui allow_url_include, display_errors ed expose_php di PHP;
• chiude una porta di database o di amministrazione (MySQL, PostgreSQL, Redis, MongoDB, Elasticsearch, Memcached, l'API di Docker, CouchDB, InfluxDB) aperta verso internet e attaccata nelle ultime 24 ore;
• blocca il traffico in uscita verso indirizzi presenti nelle liste di minacce (corrispondenze critiche), tranne le destinazioni a cui il server si connette regolarmente;
• banna per 24 ore un indirizzo presente in una lista di minacce che si è connesso a un servizio del server e lo ha attaccato;
• applica patch virtuali per CVE sfruttate (Apache con ModSecurity);
• installa gli aggiornamenti di sicurezza dentro la tua finestra degli aggiornamenti, un server alla volta.

Per un ban servono almeno 5 eventi in entrata dall'indirizzo nell'arco di 24 ore, oppure un evento critico. Una corrispondenza con una lista di minacce conta come uno dei 5, mai come evento critico.

Cosa richiede la tua approvazione#

• le correzioni di hardening che toccano gli accessi o possono cambiare il comportamento di un sito, come cgi.fix_pathinfo e disable_functions di PHP;
• gli aggiornamenti dei pacchetti critici (OpenSSH, la libreria C, systemd, Docker, Kubernetes, database, PAM, sudo, strumenti firewall, OpenSSL, rete);
• la quarantena di un file fuori dalle cartelle web;
• la chiusura di qualsiasi altra porta, per esempio la 3306 di MySQL o la 5432 di PostgreSQL quando nessuno le ha attaccate nelle ultime 24 ore (vedi Porte e blocco in uscita);
• una destinazione o una patch virtuale che non soddisfa le condizioni automatiche;
• il blocco di una destinazione a cui il server si connette regolarmente (in 3 o più degli ultimi 7 giorni), anche se è in una lista di minacce: potrebbe essere un servizio da cui il server dipende (vedi Destinazioni abituali);
• il ripristino di un file in quarantena.

La richiesta compare in Approvazioni e nei tuoi canali di avviso. Approva o Rifiuta dalla dashboard; per decidere serve l'autenticazione a due fattori, e il link in un avviso apre soltanto la richiesta, quindi un messaggio inoltrato non può approvare nulla. Le richieste senza risposta scadono dopo 24 ore.

Per decidere serve l'autenticazione a due fattori. Solo un proprietario o un admin con accesso tramite autenticazione a due fattori può approvare o rifiutare: attivala in Impostazioni › Sicurezza prima che arrivi la prima richiesta. Applica su una correzione del punteggio di sicurezza, da parte di un proprietario o un admin con la 2FA, è già la tua decisione e parte subito; senza 2FA diventa una richiesta come quelle di AutoMode.

Quando un Applica non può partire, il messaggio dice perché: la modifica è già in atto (non c'è niente da fare; una protezione extra già attiva non viene più proposta), il piano, il tuo ruolo, una sessione che non ha completato l'autenticazione a due fattori, un server o un elemento che non esiste più, o la dashboard non raggiungibile. Anche una correzione che diventa una richiesta di approvazione lo dice.

Cosa non fa mai#

• eseguire un comando proprio, o qualsiasi cosa fuori dal catalogo;
• bannare indirizzi in whitelist, indirizzi della lista InfraFence da non bloccare mai, gli indirizzi dei tuoi server o un indirizzo da cui qualcuno ha fatto login via SSH;
• bloccare un paese da cui arrivano login SSH;
• chiudere una porta SSH o una porta usata da un web server;
• rifare qualcosa che hai annullato;
• modificare i server in modalità monitor: annota cosa avrebbe fatto.

Limiti: al massimo 50 azioni per server all'ora e 200 ban per organizzazione all'ora.

Verificato, e annullato se rompe qualcosa#

Dopo ogni modifica l'agente controlla che SSH accetti ancora connessioni su ogni porta che usa e che ogni sito monitorato risponda ancora. Se non è così, annulla la modifica da solo e Attività mostra Annullata dal server con il motivo.

Attività e annullamento#

Attività elenca tutto ciò che hanno fatto AutoMode, la modalità emergenza e le correzioni che hai applicato, dalla più recente, con filtri per origine e stato. Annulla rimette le cose com'erano; il server lo applica entro un minuto. Gli aggiornamenti installati non si possono annullare.

Impostazioni#

In Impostazioni › Agente, la scheda AutoMode:

• Metti in pausa AutoMode e Riprendi AutoMode: ciò che è già stato applicato resta.
• Finestra degli aggiornamenti: Dalle, Alle e Fuso orario. Gli aggiornamenti di sicurezza vengono installati solo in questa fascia oraria. Fuori dalla finestra solo la modalità emergenza installa aggiornamenti, e solo per vulnerabilità sfruttate attivamente.

Le funzioni AI inviano ad Anthropic gli eventi che servono per produrre la risposta; vedi il modello di sicurezza.